Fortinet confirma a exploração de vulnerabilidade no FortiWeb

Na sexta-feira, a Fortinet alertou para uma vulnerabilidade explorada no FortiWeb que permite que invasores remotos e não autenticados obtenham acesso administrativo aos dispositivos de firewall de aplicativos da web. Identificada como CVE-2025-64446 (pontuação CVSS de 9,1), a vulnerabilidade é descrita como um problema de travessia de diretório relativo que pode ser explorado por meio de solicitações HTTP ou HTTPS manipuladas para executar comandos administrativos no sistema.

“A Fortinet observou que essa vulnerabilidade está sendo explorada na prática”, observou a empresa em seu comunicado , sem fornecer detalhes adicionais sobre o(s) ataque(s). A falha afeta as versões do FortiWeb de 8.0.0 a 8.0.1, de 7.6.0 a 7.6.4, de 7.4.0 a 7.4.9, de 7.2.0 a 7.2.11 e de 7.0.0 a 7.0.11. A vulnerabilidade foi corrigida nas versões do FortiWeb 8.0.2, 7.6.5, 7.4.10, 7.2.12 e 7.0.12.

Leia também
Atualização do Zoom elimina vulnerabilidade crítica
Privacidade em risco por falha dos antivírus

Na sexta-feira, a agência de cibersegurança dos EUA, CISA, adicionou a vulnerabilidade CVE-2025-64446 ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), instando as agências federais a corrigi-la dentro de uma semana.

De acordo com a Diretiva Operacional Vinculativa (BOD) 22-01, as agências federais são obrigadas a corrigir as vulnerabilidades recém-adicionadas à lista KEV em até três semanas. O prazo mais curto para a correção da nova falha ressalta sua importância.

Os alertas da Fortinet e da CISA, no entanto, chegam um pouco tarde. Na quinta-feira, várias empresas de segurança alertaram sobre a exploração, em ambiente real, de uma vulnerabilidade no FortiWeb versão 8.0.1 e em versões anteriores.

A WatchTowr destacou que os ataques visavam indiscriminadamente dispositivos FortiWeb em todo o mundo, enquanto a PwnDefend e a Rapid7 associaram os ataques a uma vulnerabilidade explorada pela Defused em 6 de outubro . A Defused publicou um código de prova de conceito (PoC) baseado nessa vulnerabilidade.

Tanto a PwnDefend quanto a Rapid7 observaram que a vulnerabilidade permite que invasores criem contas de administrador em dispositivos vulneráveis. Em 6 de novembro, a Rapid7 observou um agente de ameaças oferecendo uma suposta vulnerabilidade zero-day direcionada ao FortiWeb em um fórum da dark web, mas não conseguiu vinculá-la à vulnerabilidade zero-day explorada.

De acordo com o relatório técnico da watchTowr , a vulnerabilidade CVE-2025-64446 consiste em duas falhas: uma de travessia de diretório e outra de bypass de autenticação. Ao criar uma conta de administrador, os atacantes podem comprometer totalmente os dispositivos visados.

Embora não tenha mencionado a falha de segurança nas notas de lançamento do FortiWeb 8.0.2 , a Fortinet provavelmente corrigiu a vulnerabilidade silenciosamente após tomar conhecimento de sua exploração em outubro, conforme aponta o watchTowr.

“Estamos cientes dessa vulnerabilidade e ativamos nossa equipe de resposta a incidentes de segurança pública (PSIRT) e nossos esforços de remediação assim que tomamos conhecimento do problema, e esses esforços continuam em andamento”, disse um porta-voz da Fortinet.

“Estamos em contato direto com os clientes afetados para orientá-los sobre as ações recomendadas. Solicitamos que nossos clientes consultem o comunicado e sigam as orientações fornecidas no FG-IR-25-910 ”, continuou o porta-voz.

No comunicado, a Fortinet recomenda que os clientes desativem o HTTP/HTTPS para interfaces acessíveis pela internet até que atualizem para uma versão corrigida do FortiWeb.

Após a atualização, os clientes devem revisar suas configurações e registros em busca de modificações inesperadas, como a presença de contas de administrador não autorizadas.